ТОП-10 изменений в защите персональных данных в Казахстане 2026

В 2026 году защита персональных данных в Казахстане ужесточается по трём направлениям: согласие на обработку, ответственность за нарушения и требования к безопасности хранения. Эти изменения важны для компаний, госорганов и сервисов, которые работают с ИИН, контактами, биометрией и другой чувствительной информацией. Базовые права граждан и обязанности операторов закреплены в Законе РК «О персональных данных и их защите» и подзаконных актах на adilet.zan.kz и gov.kz.

Если коротко, рынок движется к более жёсткой модели: данных собирают меньше, согласие оформляют строже, а за утечки и неправомерную обработку платят дороже. Для бизнеса это означает пересмотр форм согласия, политик хранения, доступа сотрудников и технической защиты. Для пользователей — больше контроля над тем, кто и зачем использует их данные.

Ключевые факты

• 10 изменений — в таком формате удобнее смотреть, что уже влияет на бизнес-процессы в 2026 году.
• В фокусе — согласие, штрафы, шифрование и права субъектов данных.
• Для компаний критичны не только юридические формулировки, но и настройка ИТ-систем: доступы, журналы действий, резервные копии.
• Официальную базу можно проверять в adilet.zan.kz, а общие разъяснения — на gov.kz.

1. Согласие на обработку данных станет жёстче

Согласие остаётся центральным условием обработки персональных данных, и в 2026 году к его оформлению предъявляют более строгие требования. Это касается онлайн-форм, мобильных приложений, договоров, CRM и колл-центров, где согласие часто прячут в длинном тексте. По Закону РК «О персональных данных и их защите» согласие должно быть конкретным и информированным; для компаний это означает пересмотр пользовательских сценариев и отдельных галочек под разные цели обработки.

Что это меняет на практике

Компании должны разделять согласие на маркетинг, исполнение договора, рассылки и передачу третьим лицам, если эти действия не связаны между собой. В противном случае риск признания согласия некорректным растёт, а вместе с ним — риск претензий со стороны уполномоченных органов. Для пользователя это плюс: он точнее видит, на что разрешает доступ. Для бизнеса это значит, что старые шаблоны согласий в 2026 году лучше не использовать без проверки.

2. Штрафы за нарушения становятся ощутимее

Ответственность за нарушения в сфере персональных данных в 2026 году оценивается жёстче, а максимальные санкции по отдельным составам могут доходить до 5 млн ₸ по актуализированным требованиям и практике применения. Это особенно важно для компаний, которые хранят большие массивы клиентских данных и работают с подрядчиками. Источник для сверки состава правонарушений — КоАП РК и актуальные редакции на adilet.zan.kz.

Для бизнеса это не абстрактная угроза. Один неверно настроенный доступ в CRM, незащищённый файл с базой клиентов или отсутствие порядка в согласиях может превратиться в проверку и штраф. Для сотрудников это означает, что простая пересылка таблицы через личный мессенджер уже не выглядит безобидной.

«Персональные данные должны обрабатываться на законной и справедливой основе» — Закон РК «О персональных данных и их защите», adilet.zan.kz.

3. Шифрование данных переходит из рекомендации в обязательную практику

В 2026 году шифрование становится не просто технической мерой, а базовым стандартом защиты персональных данных. Это касается баз данных, бэкапов, облачных хранилищ, каналов передачи и архивов, где содержатся ИИН, телефоны, адреса и иные идентификаторы. На практике компании ориентируются на требования информационной безопасности и внутренние политики, которые должны быть согласованы с законодательством и общими рекомендациями госорганов.

Если данных много, слабое место обычно не в самом сервере, а в доступе к нему. Поэтому шифрование без контроля ключей и ролей мало что даёт. Самый рабочий сценарий для 2026 года — сочетать шифрование, ограничение прав доступа и регулярный аудит журналов.

4. Права граждан на доступ и удаление данных расширяются в применении

Граждане в Казахстане уже имеют право запрашивать доступ, исправление и удаление своих данных, а в 2026 году эти механизмы применяются строже и чаще проверяются на практике. Это важно для всех, кто пользуется банками, маркетплейсами, медицинскими сервисами, доставкой и государственными цифровыми услугами. На практике запросы на удаление и уточнение данных должны обрабатываться в установленные сроки, а компания — уметь подтвердить, что выполнила обращение.

Для пользователя это означает более понятный контроль над цифровым следом. Для компании — необходимость иметь процесс, а не импровизацию: кто принимает запрос, кто проверяет личность заявителя, кто удаляет данные и кто фиксирует результат. Иначе формальное право остаётся на бумаге.

5. Хранение данных привязывают к цели, а не к привычке

В 2026 году компании всё чаще обязаны объяснять, зачем они продолжают хранить персональные данные, если бизнес-цель уже достигнута. Это особенно заметно в e-commerce, HR, логистике и сервисах с историей заказов. Нормальная логика здесь простая: данные не должны лежать «на всякий случай» бесконечно, если для них больше нет законной цели обработки.

Для практики это означает ревизию сроков хранения, архивов и резервных копий. Компании, которые не проводят такую чистку, накапливают не только технический мусор, но и юридический риск. Чем меньше лишних данных, тем ниже цена утечки и тем проще объяснить законность обработки.

6. Передача третьим лицам требует более прозрачной фиксации

Передача персональных данных подрядчикам, курьерским службам, колл-центрам и облачным провайдерам в 2026 году требует более чёткого документирования. Сам по себе аутсорсинг не запрещён, но компания должна понимать, кому именно и на каком основании передаются данные, какие меры защиты применяет подрядчик и как контролируется его работа. Это особенно важно для бизнеса, который подключает внешние CRM, аналитические сервисы и SaaS-платформы.